Mac'те VPN'ге сертификат менен кирүү: инсан, ачкычты колдонуу же шлюзга ишенүү?
Сертификат менен кирүүнүн артында үч чечим турат: кайсы инсан тандалат, VPN компоненти өз ачкычын колдоно алабы жана шлюзга ишенүүгө болобу.
Сертификатка негизделген VPN кирүүлөр Mac'тен сырсөзгө караганда тар нерсе сурайт: ушул конкреттүү жеке ачкычты, ушул аткаруу контекстинде, ошол шлюзга инсанды далилдөө үчүн колдон. Ийгиликсиз болгондо, билдирүү адатта эң акыркы туура эмес болгон нерсени гана сүрөттөйт, ал сейрек себеп болот. Система кабыл алган тартипте үч чечимди карап чыгуу диагностиканы чынчыл кармайт жана жергиликтүү уруксат маселесин чынжыр текшерүүнүн катасы катары кароого жол бербейт.
Кирүүнү Mac жасаган тартипте карап чык
Алгач кардар инсанды тандайт: жарактуу жеке ачкыч менен түгөйлөшкөн сертификат, ал колдоого алынган кампа же эсептик маалымат провайдери аркылуу жеткиликтүү. Андан кийин VPN компоненти ошол ачкыч менен криптографиялык операция жасоону сурайт, ал эми жергиликтүү авторизация модели жооп берет. Экөө тең ийгиликтүү болгондон кийин гана алыскы кол кармашуу болуп өтөт, анда Mac шлюзду баалайт, ал эми шлюз кардардын далилин баалайт.
| Decision | Typical symptom | Where to look |
|---|---|---|
| Identity selection | No valid identity, wrong certificate offered | Profile and which identity the client picked |
| Local key use | Signing or interaction error before any handshake | Execution context and key access rules |
| Remote authentication | Chain, name or client-admission rejection | Gateway identity and what it accepts |
Таблицаны жогорудан ылдый карап чык жана биринчи ийгиликсиз сапта токто. Ийгиликсиздиктен төмөнкүнүн баары далилденбеген, ошондуктан «сертификатка ишеним жок» деген тыянак ушунчалык кеңири жана ушунчалык ишенимсиз.
Жергиликтүү уруксат чындыгында эмнени камтыйт
macOS'тин ачкыч сактагыч модели боюнча, корголгон элементтер операцияга мүнөздүү кирүү эрежелерин жана ишенимдүү колдонмолордун тизмесин алып жүрөт. Жеке ачкыч менен кол коюу — ошол операциялардын бири, ал эми эрежелер аны аткарган аткарылуучу файлга тиешелүү, документ катары сертификатка эмес. Apple'дын кирүүнү көзөмөлдөө боюнча маалымдамасы бул модель менен iCloud ачкыч сактагычынын жана кирүү топторунун ортосунда да чек коёт, ошондуктан бирөө үчүн жазылган кеңеш экинчисине өтпөйт.
Мындан эки кесепет келип чыгат. Тизмеде көрүнгөн ачык сертификат VPN'дин фондук компоненти ошол ачкычка таптакыр жете аларын далилдебейт. Ал эми алдыңкы колдонмого берилген уруксат өзүнчө жардамчы же тармактык кеңейтүү тууралуу эч нерсе айтпайт, анткени алар башка инсандары бар башка код.
Эски кардардан аткарылуучу файлдын жолун көчүрүүнүн ордуна чыныгы ишке ашырууну жана анын колдоого алынган эсептик маалыматты бөлүшүү ыкмасын аныкта. Эң оболу система кайсы инсанды сунуштаарын тастыкта:
security find-identity -v -p ssl-clienterrSecInteractionNotAllowed дегенди кантип окуу керек
Бул статус Security Server менен уруксат эмес өз ара аракеттенүү тууралуу билдирет жана сертификат чынжырлары тууралуу эч нерсе айтпайт. Аны пайда кылган операция менен бирге оку: сурам көрсөтө албаган контекстен жиберилген кол коюу суранычы ачкыч да, сертификат да толук жарактуу болгон кезде ушундай ийгиликсиз болот. Баштоочу жер — аны журналга жазган операция, сертификат кампасы эмес. Ишеним тиректерине байланыштуу кандайдыр бир өзгөртүү катаны так өз ордунда калтырат.
Ошондуктан кодду аткаруу контекстин жана авторизацияны изилдөө себеби катары кабыл ал. Аны шлюздун CA'сына ишеним жоктуктун далили катары кароо сени маселенин туура эмес жарымына жиберет, ал эми ал жерде кылган өзгөртүүң катага таптакыр таасир этпейт.
Тар оңдо, кенен эмес
Байланыштын ээсинин каттоо же импорттоо нускамаларынан башта. Кардардын версиясын, профилдин камтылышын, тандалган инсанды жана биринчи тиешелүү жергиликтүү катаны жаз, анткени колдоого өткөрүп берүүгө ушул төрт факт керек жана кийинки салыштыруу ошолорго таянат. Башкарылуучу профиль же аппараттык камсыздалган инсан администратордун же провайдердин өткөрүп берүүнү оңдоосун талап кылышы мүмкүн, ал эми жергиликтүү басуулардын эч канчасы анын ордун баспайт.
Продукт колдонуучунун макулдугун күткөн жерде кайсы компонент сурап жатканын тастыкта жана колдоого алынган агым аркылуу так ошол кирүүгө гана макулдук бер. Компонент өзү иштеген контекстте сурам көрсөтүүгө мүмкүнчүлүгү жок жерде камсыздоо өндүрүүчү документтеген жолду ээрчиши керек, башка терминал терезесинен тартып алынган диалогду эмес.
Эски кеңештерде эки өзгөртүү бирге берилет, ал экөө тең өтө кенен. Ар бир колдонмого жеке ачкычка кирүү берүү жергиликтүү ачкыч колдонууну талаптан алда канча кеңейтет, ал эми сертификатты Always Trust'ка коюу машинадагы бардык нерсе үчүн сертификат баалоону өзгөртөт. Экөө тең «ушул бекитилген VPN ишке ашыруусу, ушул көздөлгөн инсанды колдонуп» дегенди билдирбейт.
Шлюзду окуудан мурун жергиликтүү текшер
Оңдоодон кийин жергиликтүү операция ийгиликтүү болорун тастыкта каршы тараптан келген ар кандай жоопту чечмелөөдөн мурун. Эгер кол коюу эми иштесе, кийинки ат, чынжыр же кардарды киргизүү четке кагуусу кайталануу эмес, жаңы натыйжа, жана ал башка жооптуусу бар башка чечимге таандык.
Пайдалуу өткөрүп берүү үч чечимдин кайсынысы ийгиликсиз болгонун атайт жана ошол жерде токтойт. Ал эч качан жеке ачкычты камтыбайт жана таза абал жардам берет деген үмүт менен байланышы жок ачкыч сактагыч элементтерин эч качан баштапкы абалга келтирбейт. Ушул эки адатты окуянын убагында эмес, анга чейин калыптандыр, анткени баарын бир убакта сынап көрүү азгырыгы ошондо эң күчтүү. «Ачкыч сактагыч кайра курулду» деген билет кийинки окуучуга баштапкы бузулуу жөнүндө дээрлик эч нерсе айтпайт.